ClickFix-Attacken sind eine besondere Form von Social Engineering: Nutzer werden dabei dazu bewegt, aus dem Web, E-Mails oder Kurznachrichten Befehle zu kopieren, um sie dann in die Kommandozeile des Rechners einzufügen, auf dass dann böswillige Skripte ablaufen. Da mehr und mehr Nutzer aufgrund des KI-Agenten-Hypes mit dem Terminal in Berührung kommen, finden sich immer wieder Opfer. Wie das Sicherheitsunternehmen Group-IB warnt, kursiert aktuell ein neuer Angriff namens ClickLock Stealer, der besonders problematisch agiert und sogar Erpressungselemente enthält.

Hälfte der Betroffenen aus Europa

Laut der Sicherheitsforscher adressiert der Schädling Nutzer in Europa, Nordamerika und der MEA-Region. Ermittelt wurden bereits mindestens 100 Opfer in 33 Ländern, die Hälfte davon in Europa. Die Attacken laufen offenbar mindestens seit Mai. Ziel von ClickLock Stealer ist es, Daten aus Kryptowallets, Browsern („unterstützt“ werden mindestens acht verschiedene), Passwort-Managern und weiteren sensiblen Systembereichen (etwa Schlüsselbund, FTP-Passwörter und Blockchain-Adressen) abzuziehen.

Eine der Vertriebsmethoden von ClickLock Stealer sollen gefälschte Cloudflare-Seiten sein. Dabei soll der Nutzer beweisen, dass er ein Mensch sei – und dazu gehöre auch, ein Terminal-Kommando samt Return-Tastendruck einzufügen. Die Malware macht sich sogleich an die Arbeit und versucht, den Nutzer zur Eingabe eines Administratorpassworts zu bewegen. Hier kommt es dann zu der Epressung: Weigert sich der Nutzer, indem er den Prompt, der eine macOS-Passworteingabe nachahmt, abzubrechen versucht, werden zentrale Systemprozesse wie Finder, Dock, das Terminal, Systemeinstellungen, Aktivitätsanzeige, Konsole, Spotlight und laufende Browser abgeschossen – zudem die Nachrichtenzentrale, damit macOS-Warnungen nicht durchkommen. Der Nutzer kann also nichts tun, als das Passwort einzugeben, was wiederum den Datenabgriff startet.

Hintertür bleibt erhalten

Ist dieser erfolgt, werden die Hauptkomponenten von ClickLock Stealer gelöscht, es verbleibt jedoch eine Hintertür auf dem System, sodass die Angreifer später weitere Informationen abgreifen oder das System fernsteuern können. Letzteres erfolgt über die Nutzung des Netzwerktoolkits GSocket.

macOS enthält in aktuellen Tahoe-Versionen inzwischen eine Schutzfunktion, die Nutzer vor ClickFix-Hacks bewahren soll. Dabei erscheint ein Warndialog, bevor Befehle ins Terminal eingegeben werden.

(bsc)